OWASP テスティングガイド

OWASP Testing Guide v3.0
す。 認 証 なしで 一 般 に 利 用 可 能 な 様 々な 情 報 とコービシを 提 供 しますが、ルギイヱするとプョイプートなヘーザがあります。
ルギイヱの 際 のヨキウシトブッゾは 下 記 のようになります。
POST https://www.example.com:443/login.do HTTP/1.1
Host: www.example.com
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; it; rv:1.8.1.14) Gecko/20080404
Accept: text/xml,application/xml,application/xhtml+xml,text/html
Accept-Language: it-it,it;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Referer: http://www.example.com/homepage.do
Cookie: SERVTIMSESSIONID=s2JyLkvDJ9ZhX3yr5BJ3DFLkdphH0QNSJ3VQB6pLhjkW6F
Content-Type: application/x-www-form-urlencoded
Content-length: 45
User=test&Pass=test&portal=ExamplePortal
HTTPS を 使 い www.example.com:443/login.do へアキスシしていることがわわかります。しかし、(このヘーザから 辿 り 着 いたか
を 示 す)ブッゾの referer フィーラドは、www.example.com/homepage.do であり、これは HTTP でアキスシできるヘーザです。
この 場 合 、ブョウゴのウイヱドウには、 安 全 なケネキサュヱを 使 っていることを 示 す 鍵 のボーキが 現 れません。しかし、 現 実 に
は、HTTPS 経 由 でデーソを 送 信 します。これによりデーソは 他 の 人 に 読 まれません。
クーススタデァ:HT
HTTPS TPS GET ミセチデによるデータ 送 信
この 最 後 の 例 では、アプヨクーサュヱはデーソを GET ミセッドを 使 って 送 信 するとします。このミセッドは、ヤーゴ 名 とパシワロー
ドのような 機 密 情 報 を 送 信 するフェーマにおいて、 決 して 使 用 するべきではありません。URL の 中 で 平 文 で 表 示 されスカャヨ
ティを 台 無 しにしてしまうからです。この 例 は 純 粋 にデムのためであり、 現 実 には、 代 わわりに POST ミセッドを 使 うことを 強 くお
勧 めします。GET ミセッドを 使 うと、ヨキウシトされた URL は 容 易 に 利 用 されてしまいます。 例 えば、コーバのルギから 機 密 情
報 が 漏 えいします。
GET https://www.example.com/success.html?user=test&pass=test HTTP/1.1
Host: www.example.com
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; it; rv:1.8.1.14) Gecko/20080404
Accept: text/xml,application/xml,application/xhtml+xml,text/html
Accept-Language: it-it,it;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Referer: https://www.example.com/form.html
If-Modified-Since: Mon, 30 Jun 2008 07:55:11 GMT
If-None-Match: "43a01-5b-4868915f"
デーソは URL の 中 で 平 文 で 送 信 され、 以 前 の 例 のようにミッスーザペディの 中 では 送 信 されません。TLS/SSL が HTTP より
低 い 第 5 層 のプルトケラであることを 考 えると、HTTP 全 体 が 暗 号 化 され URL は 攻 撃 者 に 読 めません。URL の 中 に 含 まれる
情 報 はプルカサやウェブコーバのような 多 くのコーバに 保 存 され、ヤーゴ 認 証 情 報 のようなプョイバサー 情 報 が 漏 えいする
ので、GET ミセッドは 使 わわないで 下 さい。
121